⚡️ Библиотека axios скомпрометирована трояном удаленного доступа.

30 марта злоумышленники опубликовали в npm 2 вредоносные версии библиотеки axios. Версии 1.14.1 и 0.30.4 содержали скрытый установщик кроссплатформенного RAT, инструмента скрытого удаленного доступа.

JavaScript-библиотека Axios широко распространена в экосистеме разработки ИИ-решений, она обеспечивает HTTP-взаимодействие между клиентскими интерфейсами и API (OpenAI, Anthropic, LangChain).

Компрометацию обнаружила компания StepSecurity - ее ИИ-анализатор пакетов зафиксировали аномальные исходящие соединения к домену sfrclak[dot]com в CI-пайплайнах открытых проектов.

Это одна из самых технически изощренных атак на цепочку поставок, когда-либо зафиксированных в экосистеме npm.

Атакующие получили доступ к npm-аккаунту ведущего мейнтейнера проекта jasonsaayman и подменили привязанный email.

Публикация обошла штатный CI/CD-пайплайн: все легитимные релизы axios 1.x выходят через GitHub Actions с криптографической привязкой по OIDC, а вредоносная версия была залита напрямую с украденным npm-токеном - без привязки к коммиту или тегу в репозитории.

Сам код axios не менялся ни на строку. Единственным изменением в package.json стало добавление зависимости plain-crypto-js@4.2.1, пакета, который нигде в исходниках axios не импортируется.

Его единственная задача - выполнить скрипт, запускающий RAT-дроппер для macOS, Windows и Linux. В течение 2 секунд после npm install вредонос устанавливает соединение с сервером - еще до того, как npm заканчивал разрешение остальных зависимостей.

После запуска дроппер удалет себя и подменяет свой package.json на чистую заглушку с номером версии 4.2.0 вместо 4.2.1.

Проведенное расследование установило, что операция была спланирована заранее.

За 18 часов до атаки злоумышленник зарегистрировал чистый клон легитимного crypto-js, создающий видимость нормальной истории публикаций. Затем вышла версия 4.2.1 с вредоносным postinstall-хуком. Обе ветки axios, актуальная 1.x и устаревшая 0.x, были инфицированы с интервалом в 40 минут.

Вредоносные версии axios оставались в реестре npm около 3 часов, после чего были удалены. Пакет plain-crypto-js продержался примерно 4 с половиной часа.

Всем, кто установил axios@1.14.1 или axios@0.30.4, рекомендуется проверить наличие директории plain-crypto-js в node_modules. Её присутствие означает, что дроппер был запущен, даже если npm list не показывает версию 4.2.1.

Зависимость необходимо удалить, а все секреты, SSH-ключи и токены на затронутых машинах считать скомпрометированными.


@ai_machinelearning_big_data

#news #ai #ml

✔️ OpenAI сделала плагин Codex для Claude Code.

Расширение позволяет вызывать Codex напрямую из рабочего процесса для код-ревью и делегирования задач. Инструмент поддерживает базовую проверку синтаксиса, расширенное интерактивное ревью с наводящими вопросами и автоматическое расследование дефектов с исправлением багов.

Плагин работает через локальный Codex CLI и не изолирован от системы. Он наследует авторизацию устройства, конфигурацию, переменные окружения и доступ к репозиториям.

Для установки дополнения потребуется Node.js версии 18.18 или новее, а также любая учетная запись ChatGPT, включая бесплатный тариф, либо API-ключ OpenAI. Исходники плагина опубликованы на Github.
community.openai.com

✔️ Google выпустила Veo 3.1 Lite.

Новинка замыкает линейку Veo 3.1 и ориентирована на массовую генерацию контента. Стоимость создания на новой модели на 50% меньше. чем на версии Fast.

Lite генерирует ролики на основе текста или изображений, предлагая базовые настройки ориентации кадра и длительность в 4, 6 или 8 секунд. 4K не поддерживается, доступны только 720p и 1080p.

Доступ к Veo 3.1 Lite уже открыт на платных тарифах в Gemini API и платформе Google AI Studio. Одна секунда видео в 720p обойдется в 5 центов, а в 1080p - в 8 центов. Также анонсировано снижение тарифов для Veo 3.1 Fast с 7 апреля.
blog.google

✔️ Парень переписал Claude Code на Python за ночь и взорвал GitHub

Anthropic случайно засветили исходники своего ИИ-редактора Claude Code и они мгновенно разлетелись по сети.
Разработчик из Южной Кореи, Sigrid Jin, увидел это в 4 утра и не стал ждать.

За одну ночь он переписал ключевые части проекта на Python и выложил форк под названием Claw Code.

Результат:
- 50 000 звёзд всего за 2 часа
- вирусное распространение по всему GitHub
- полноценный агентный стек, сохранённый в новой реализации
Сейчас он уже работает над версией на Rust.
История про то, как скорость и скилл иногда решают больше, чем команды и бюджеты

✔️ В Китае запущена первая полностью автоматизированная линия по производству гуманоидных роботов.

Предприятие в городе Фошань рассчитано на выпуск 10 000 человекоподобных машин ежегодно. Переход на конвейерный формат сократил время сборки одного устройства в среднем до 30 минут. Это повысило общую эффективность производства более чем на 50% по сравнению с традиционными методами сборки.

Технологический процесс состоит из 24 этапов и включает 77 процедур для проверки безопасности и надежности узлов. Линия отличается высокой гибкостью: архитектура конвейера позволяет одновременно выпускать различные модификации роботов для разных нужд - от заводских цехов до медицинских учреждений.

Тренд на массовое производство поддерживают и другие локальные разработчики: Unitree и UBTech планируют поставить на рынок десятки тысяч роботов уже к концу этого года, а Agibot отгрузила более 5 тыс. единиц в 2025 году.
cctvplus.com

✔️ Micron начал разработку многослойной графической памяти GDDR.

Вендор применит к GDDR подход вертикальной компоновки из чипов HBM, чтобы заполнить нишу между дорогой HBM и классической GDDR. До конца года Micron подготовит оборудование и приступит к тестовому производству, а первые четырехслойные инженерные образцы появятся в 2027 году,

С развитием ИИ рынку требуются более доступные решения, особенно для инференса, где HBM избыточна, а производительности обычной графической памяти не хватает. Многослойная GDDR даст повышенную пропускную способность и увеличенную емкость, сохранив при этом конкурентную цену. Помимо ИИ-ускорителей, новые чипы найдут применение в игровых видеокартах.

Для запуска производства Micron предстоит преодолеть ряд инженерных барьеров: контроль тепловыделения, оптимизация энергопотребления и удержание низкой себестоимости сложного процесса упаковки.
etnews.com

@ai_machinelearning_big_data

🐍 полезные ресурсы 🚀Max

#news #ai #ml

📌В сети начали анализировать исходники Claude Code.

Анализ анализ утекшего сегодня исходного кода Claude Code подтвердил давно циркулирующую в сети гипотезу о том, что преимущество Claude Code над веб-интерфейсом не в языковой модели, а в обвязке вокруг нее.

Если подставить в эту архитектуру другую модель (DeepSeek, MiniMax или Kimi) и адаптировать системные инструкции, результат будет сопоставим с оригиналом.

🟢При запуске Claude Code автоматически подгружает контекст репозитория: текущую и основную ветки git, последние коммиты и файл CLAUDE[dot]md.

Модель ориентируется в проекте еще до первого запроса пользователя. Статичные части промпта отделены от динамических специальными маркерами и кэшируются глобально, что избавляет от повторной сборки контекста при каждом обращении.

🟢Вместо вызова grep через Bash модель использует выделенный Grep-инструмент с более аккуратной обработкой прав и сбором результатов.

Для поиска файлов предусмотрен отдельный Glob-инструмент, а для навигации по коду - инструмент на базе LSP, который открывает доступ к иерархии вызовов и ссылкам между сущностями. Благодаря этому модель воспринимает код не как статичный текст, а как структуру с зависимостями.

🟢Отдельный пласт - борьба с раздуванием контекста.

Claude Code дедуплицирует чтение файлов: если файл не изменился, повторно он не обрабатывается. Слишком объемные результаты инструментов выносятся на диск, а в контексте остается лишь превью со ссылкой. Длинные контексты автоматически усекаются и суммаризуются.

🟢Агент ведет структурированную память сессии в виде markdown-файла.

В нем создаются разделы: состояние задачи, рабочие файлы и функции, ошибки, выводы, рабочий лог. Это некий цифровой аналог заметок, которые разработчик делает по ходу работы.

🟢Параллелизм обеспечивают субагенты.

Форкнутые процессы переиспользуют кэш родителя и учитывают мутабельные состояния. Это позволяет вести суммаризацию и фоновый анализ, не засоряя основной цикл агента.

🟢В утечке нашлись и намеки на будущее.

В комментариях упоминается модель capybara-v2-fast и описаны ее особенности: чувствительность к стоп-последовательностям, склонность к избыточным аннотациям и защищенные блоки мышления.

Модели Opus 4.7 и Sonnet 4.8 фигурируют в коде лишь как примеры невыпущенных версий.

@ai_machinelearning_big_data

#news #ai #ml

✔️ Anthropic добилась удаления 8100 репозиториев на GitHub из-за утечки Claude Code.

Компания направила GitHub жалобу в рамках DMCA, потребовав заблокировать доступ к утекшему коду Claude Code. Платформа полностью удовлетворила запрос и зачистила репозитории с нелегальным контентом.

Под блокировку попал родительский репозиторий nirholas/claude-code и все его форки - в общей сложности 8100 проектов. Представитель Anthropic заявил, что содержимое этих репозиториев целиком нарушает авторские права компании.
github.com

✔️ Liquid AI обновила сверхкомпактную модель LFM.

LFM2.5-350M - крошечная модель на 350 млн параметров. В нее влили 28 трлн. токенов и отполировали обучением с подкреплением. В квантованном виде вся эта радость весит меньше 500 МБ.

При столь скромных размерах она уверенно справляется с задачами агентных циклов, извлечением структурированных данных и вызовом внешних инструментов.

Разработчики говорят, что по сравнению с прошлой версией новинка стала в 2 раза лучше понимать инструкции и работать с функциями. Модель заводится локально на CPU, видеокартах и мобильных чипах. Плюс из коробки нативно поддерживается железо AMD, Intel и Qualcomm.
liquid.ai

✔️ PrismML представила открытое семейство 1-битных моделей Bonsai.

Вышедший из стелс-режима стартап PrismML, созданный выходцами из Калтеха, придумал интересную концепцию - «плотность интеллекта». Суть в том, чтобы мерить полезную работу модели на гигабайт используемой памяти.

Чтобы не быть голословными, они релизнули семейство моделей Bonsai, с флагманом на 8B во главе. У модели однобитные веса, поэтому занимает она 1,15 ГБ. Заявлено, что при сохранении качества генерации она в 14 раз меньше, в 8 раз быстрее и в 5 раз экономнее аналогов в той же весовой категории. Плотность интеллекта оценивается в 1,06/ГБ против 0,10/ГБ у стандартных полноразмерных моделей на 8B.

В довесок к 8В идут легкие версии на 4B и 1,7B параметров. Код и веса - в опенсорсе под лицензией Apache 2.0.
prismml.com

✔️ Oracle увольняет тысячи сотрудников из-за затрат на ИИ-инфраструктуру.

Техногигант вынужден пойти на массовые сокращения из-за финансового давления, вызванного многомиллиардными инвестициями в ИИ. Пытаясь догнать конкурентов на рынке, Oracle привлекла огромные кредиты для строительства дата-центров и планировала привлечь еще 50 млрд. долларов на расширение инфраструктуры.

Высокая долговая нагрузка и снижение денежного потока вызвали обеспокоенность инвесторов - с начала года акции Oracle рухнули на 25%. Компания пока отказывается комментировать увольнения, однако руководство верит, что ИИ-стратегия окупится в долгосрочной перспективе.

Топ-менеджмент уверен, что спрос на ИИ-инфраструктуру остается большим и неудовлетворенным, а портфель контрактных обязательств на 553 млрд. долларов является прямым доказательством востребованности их решений на рынке.
businessinsider.com

✔️ ИИ-стартап Yupp закрывается и возвращает инвесторам деньги.

Проект Панкаджа Гупты стал одной из первых крупных потерь ИИ-бума. Несмотря на финансирование при участии a16z, Джеффа Дина из Google и CEO Perplexity, а также базу в 1,3 млн. пользователей, компания так и не нашла востребованность на рынке.

Yupp развивал платформу краудсорсинга: пользователи за вознаграждение оценивали ответы более 500 ИИ-моделей, а лаборатории покупали эти данные для улучшения продуктов. Но эволюция технологий уничтожила эту бизнес-модель. Фокус сместился с чат-ботов на сложные агентные архитектуры, напрямую взаимодействующие со сторонними сервисами, API и реальными данными.

Ручная оценка текстовых генераций потеряла ценность для инженеров. Поняв, что подход больше не имеет экономической перспективы, команда решила закрыть бизнес. Неизрасходованный капитал вернут инвесторам, а Yupp проработает до середины апреля в режиме экспорта пользовательских данных.
yupp.ai


@ai_machinelearning_big_data

#news #ai #ml

Наш путь — комбинация ИИ и робототехники

🖥 Комбинация искусственного интеллекта и робототехники — не сценарий из будущего, а практический путь развития современной промышленности. Именно эту мысль директор департамента технологических инноваций «Норникеля» Алексей Тестин обозначил на форуме «ТОЛК-2026».

«ТОЛК Форум» — часть «ТОЛК-2026», крупнейшего в России форума-интенсива от частного бизнеса о финансах и инвестициях, где бизнес, власть и экспертное сообщество обсуждают ключевые вопросы развития экономики и технологий.

📄Среди участников и спикеров форума — глава Банка России Эльвира Набиуллина, заместитель руководителя Администрации Президента Максим Орешкин и другие представители российского и международного экспертного сообщества.

💬 Алексей Тестин выступил в сессии «Что после ИИ-пузыря? Во что будем инвестировать до 2035 года» и рассказал о решениях «Норникеля», которые уже дают измеримый эффект бизнесу.

Машинное обучение и предиктивные алгоритмы компания внедряет в промышленность почти пять лет. Этот стек уже приносит «Норникелю» около 10 млрд ₽ в год — за счет влияния на EBITDA и дополнительных металлов, которые удается получать благодаря более точным моделям и прогнозам.

▶️Но следующий шаг — роботизация. Рудники компании работают на глубине до 2 километров, и в таких условиях требования к безопасности, точности и устойчивости технологий становятся только выше. При этом эффект от ИИ — это во многом еще и эффект от снижения погрешностей, которые неизбежны при ручном управлении: человек просто не может работать с той же точностью, что алгоритм и машина в связке.

Именно поэтому ставка «Норникеля» — на комбинацию ИИ и робототехники как на будущую точку роста. Не в отрыве от практики, а на базе уже созданной технологической инфраструктуры: ML-кластеров на площадках компании, выстроенных процессов работы с подрядчиками, сильного контура информационной безопасности и собственной платформы внедрения.

📌Такой подход показывает, что технологические инновации для «Норникеля» — не набор отдельных экспериментов, а последовательный курс на повышение эффективности, безопасности и качества производственных решений.

Следите за новостями «Норникеля» в MAX

⚡️ Zai выпустила GLM-5V-Turbo: мультимодальную кодинг-модель.

Китайская Zhipu AI, работающая на международном рынке под брендом Zai, представила GLM-5V-Turbo - мультимодальную модель, которая обрабатывает изображения, видео и текст для кодинг-задач.

Не путать новинку с вышедшей двумя неделями ранее GLM-5-Turbo: та была чисто текстовой языковой моделью, оптимизированной под агентные сценарии.

В модели GLM-5V-Turbo реализован концепт цикла восприятие → планирование → исполнение для кодинг-агентов.

Модель принимает на вход дизайн-макет или скриншот интерфейса, понимает компоновку, цветовую палитру и иерархию компонентов, после чего генерирует работающий фронтенд-проект.

Для вайрфреймов она восстанавливает структуру и логику взаимодействия, для макетов стремится к попиксельной точности воспроизведения.

Помимо прямой генерации кода по картинке, GLM-5V-Turbo работает в связке с Claude Code и OpenClaw: просматривает целевые сайты, собирает визуальные элементы и детали навигации, а затем генерирует код по результатам исследования.

Под капотом визуальный энкодер CogViT и архитектура Multi-Token Prediction. Контекстное окно составляет 200K токенов, максимальный выход - 128K токенов.

По собственным бенчам Z.ai заявляет лидирующие результаты в задачах design-to-code, визуальной генерации кода и работы с GUI-средами - AndroidWorld и WebVoyager.

При этом в чисто текстовом кодинге модель сохранила позиции по CC-Bench-V2: добавление визуальных возможностей не просадило текстовые навыки. Независимых подтверждений этих результатов пока нет.

Модель доступна через API Z.ai и на OpenRouter. Цена - $1,20 за миллион входных токенов и $4,00 за миллион выходных.


@ai_machinelearning_big_data

#news #ai #ml